Vulnerabilidad en RSA Authentication Agent para servidores Web Microsoft IIS

Se ha confirmado la existencia de una vulnerabilidad en RSA

Authentication Agent para servidores Web Microsoft IIS, que podría
permitir a un atacante remoto evitar la autenticación de doble factor.

RSA Authentication Agent se usa conjuntamente con el software RSA
Authentication Manager como solución para organizaciones que busquen el
uso de autentificadores RSA SecurID para proporcionar autentificación de
usuarios de doble factor.

En determinadas circunstancias, puede evitarse la protección del RSA
Authentication Agent para servidores Web para IIS debido a que tiene un
diseño de “fail-open”. Esta vulnerabilidad (con CVE-2013-3280) podría
permitir a atacantes remotos evitar las restricciones de acceso mediante
vectores que provoquen una caída del agente.

Un diseño “fail-open” significa que cuando un servicio o sistema falla,
todo el tráfico de red (independientemente de lo que sea) no se procesa
y pasa de forma transparente al siguiente componente de destino. Por
eso, en este caso debido a que por defecto se encuentra activa la
politica de “fail-open” es posible evadir completamente el mecanismo de
autenticación. Por otra parte una política “fail-close” resulta mucho
más paranoica, evitando todo el tráfico ante una parada del dispositivo.

Se ven afectadas las versiones 7.1.x anteriores a 7.1.2. Se ha publicado
la versión 7.1.2 para solucionar el problema.
 Fuente